Pendant des années, de nombreux utilisateurs ont cru que Windows 95 reconnaissait les programmes d'installation grâce à des mécanismes système avancés. Or, la réalité était bien plus simple. Raymond Chen, ingénieur chez Microsoft de longue date et auteur du blog The Old New Thing, a révélé que le système d'exploitation de 1995 prenait sa décision en fonction… du nom du fichier. Si un fichier exécutable contenait un mot correspondant, Windows le reconnaissait comme un programme d'installation et déclenchait un mécanisme de protection système spécifique. Ce mécanisme reposait sur une simple correspondance de mots, sans analyse du comportement du programme. Chen a expliqué que Windows 95 vérifiait le nom du fichier exécutable lancé. S'il y trouvait des termes comme « setup », « install » ou « inst », il supposait automatiquement que l'utilisateur installait un nouveau logiciel. La liste comprenait également des équivalents de plusieurs autres langues : l’italien « imposta », le turc « ayarla » et le hongrois « felrak ». Chen lui-même admet ne pas connaître l’histoire complète de ces noms et suppose qu’ils étaient destinés à prendre en charge des versions locales du système. La présence du mot « install » et de sa forme abrégée « inst » est intéressante. D'après l'ingénieur, la version complète est pratiquement inutile, car tout nom contenant « install » contient également « inst ». Il est fort probable que cette entrée ait été ajoutée ultérieurement lors du développement du système, et que l'ancienne n'ait pas été supprimée.

Cette méthode inhabituelle n'était pas le fruit du hasard. Microsoft était alors confronté à un problème majeur concernant la qualité des logiciels créés par des fournisseurs tiers. Les programmes d'installation écrasaient souvent les fichiers système sans vérifier leurs versions. Les bibliothèques modernes de Windows 95 étaient parfois remplacées par des versions plus anciennes conçues pour Windows 3.1. Le résultat était prévisible : les applications cessaient de fonctionner et le système devenait instable. Microsoft a donc décidé de créer une mesure de sécurité fonctionnant discrètement en arrière-plan. Windows effectuait des copies des fichiers système critiques, laissait l'installation se terminer, puis vérifiait si des bibliothèques avaient été remplacées par des versions antérieures. En cas de problème détecté, le système restaurait automatiquement les fichiers corrects. Cependant, ce mécanisme présentait une faille majeure : il reposait uniquement sur le nom du programme. Si le programme d’installation avait un nom inhabituel et ne contenait aucun des mots spécifiés, Windows ne déclenchait pas la procédure de sécurité. En revanche, une application classique nommée, par exemple, « instant.exe » pouvait être reconnue par erreur comme un programme d’installation simplement parce qu’elle contenait le suffixe « inst ». Microsoft a cherché à réduire les erreurs. Lorsque le premier test a échoué, le système a également vérifié si le mot « Setup » figurait dans le chemin d'accès au fichier exécutable. Des vérifications supplémentaires ont également été effectuées lors de l'installation des pilotes multimédias utilisant des fichiers INF.

Chen souligne que de nombreux programmes d'installation du milieu des années 1990 étaient incapables de remplacer les fichiers système. Dans ce cas, l'ordinateur redémarrait sous MS-DOS, exécutait un fichier batch préconfiguré, remplaçait les bibliothèques, puis revenait à Windows. C’est pourquoi le mécanisme de réparation ne fonctionnait souvent qu’après un redémarrage de l’ordinateur. Ce n’est qu’alors que le système pouvait vérifier toutes les modifications et restaurer les versions correctes des bibliothèques précédemment stockées dans le répertoire caché C:\Windows\SYSBCKUP. Microsoft a finalement abandonné cette méthode avec la sortie de Windows 2000. L'entreprise a ensuite introduit la Protection des fichiers Windows, qui surveillait les modifications apportées aux fichiers système protégés sans analyser les noms des programmes en cours d'exécution. Le service Winlogon suivait les modifications de fichiers et, si nécessaire, les recréait automatiquement à partir du répertoire \System32\dllcache. Cette solution a ensuite été étendue dans Windows ME, puis remplacée par la Protection des ressources Windows, présente depuis Windows Vista. C’est de cette technologie que provient la commande sfc /scannow, connue encore aujourd’hui et utilisée par les utilisateurs de Windows 11 pour réparer les fichiers système corrompus.